Google Docs available

PDF -fil tilgængelig

Databehandleraftale (Standard)

Skabelon

1 Indhold

2 Baggrund for databehandleraftalen

3 Den dataansvarliges forpligtelser og rettigheder

4 Databehandleren handler efter instruks

5 Fortrolighed

6 Behandlingssikkerhed

7 Anvendelse af underdatabehandlere

8 Overførsel af oplysninger til tredjelande eller internationale organisationer

9 Bistand til den dataansvarlige

10 Underretning om brud på persondatasikkerheden

11 Sletning og tilbagelevering af oplysninger

12 Tilsyn og revision

13 Parternes aftaler om andre forhold

14 Ikrafttræden og ophør

15 Kontaktpersoner/kontaktpunkter hos den dataansvarlige og databehandleren

Bilag A: Oplysninger om behandlingen

Bilag B: Betingelser for databehandlerens brug af underdatabehandlere og liste over godkendte underdatabehandlere

Bilag C: Instruks vedrørende behandling af personoplysninger

Bilag D: Parternes regulering af andre forhold

‍

2 Baggrund for databehandleraftalen

Denne aftale fastsætter de rettigheder og forpligtelser, som finder anvendelse, når databehandleren foretager behandling af personoplysninger på vegne af den dataansvarlige.
Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (Databeskyttelsesforordningen), som stiller specifikke krav til indholdet af en databehandleraftale.
Databehandlerens behandling af personoplysninger sker med henblik på opfyldelse af parternes ”hovedaftale”: Navn på hovedaftalen/ydelsen, som er indgået den dato.
Databehandleraftalen og ”hovedaftalen” er indbyrdes afhængige, og kan ikke opsiges særskilt. Databehandleraftalen kan dog – uden at opsige ”hovedaftalen” – erstattes af en anden gyldig databehandleraftale.
Denne databehandleraftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne, herunder i ”hovedaftalen”.
Til denne aftale hører fire bilag. Bilagene fungerer som en integreret del af databehandleraftalen.
Databehandleraftalens Bilag A indeholder nærmere oplysninger om behandlingen, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.
Databehandleraftalens Bilag B indeholder den dataansvarliges betingelser for, at databehandleren kan gøre brug af eventuelle underdatabehandlere, samt en liste over de eventuelle underdatabehandlere, som den dataansvarlige har godkendt.
Databehandleraftalens Bilag C indeholder en nærmere instruks om, hvilken behandling databehandleren skal foretage på vegne af den dataansvarlige (behandlingens genstand), hvilke sikkerhedsforanstaltninger, der som minimum skal iagttages, samt hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.
Databehandleraftalens Bilag D indeholder parternes eventuelle regulering af forhold, som ikke ellers fremgår af databehandleraftalen eller parternes ”hovedaftale”.
Databehandleraftalen med tilhørende bilag opbevares skriftligt, herunder elektronisk af begge parter.
Denne databehandleraftale frigør ikke databehandleren for forpligtelser, som efter databeskyttelsesforordningen eller enhver anden lovgivning direkte er pålagt databehandleren.

3 Den dataansvarliges forpligtelser og rettigheder

Den dataansvarlige har overfor omverdenen (herunder den registrerede) som udgangs-punkt ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforordningen og databeskyttelsesloven.
Den dataansvarlige har derfor både rettighederne og forpligtelserne til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må foretages behandling.
Den dataansvarlige er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som databehandleren instrueres i at foretage.

4 Databehandleren handler efter instruks

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.
Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

5 Fortrolighed

Databehandleren sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne skal derfor straks lukkes ned, hvis autorisationen fratages eller udløber.
Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde databehandlerens forpligtelser overfor den dataansvarlige.
Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.

6 Behandlingssikkerhed

Databehandleren iværksætter alle foranstaltninger, som kræves i henhold til databeskyttelsesforordningens artikel 32, hvoraf det bl.a. fremgår, at der under hensyntagen til det aktuelle niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.
Ovenstående forpligtelse indebærer, at databehandleren skal foretage en risikovurdering, og herefter gennemføre foranstaltninger for at imødegå identificerede risici. Der kan herunder bl.a., alt efter hvad der er relevant, være tale om følgende foranstaltninger:
a. Pseudonymisering og kryptering af personoplysninger
b. Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og – tjenester
c. Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
d. En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed
Databehandleren skal i forbindelse med ovenstående – i alle tilfælde – som minimum iværksætte det sikkerhedsniveau og de foranstaltninger, som er specificeret nærmere i denne aftales Bilag C.
Parternes eventuelle regulering/aftale om vederlæggelse eller lign. i forbindelse med den dataansvarliges eller databehandlerens efterfølgende krav om etablering af yderligere sikkerhedsforanstaltninger vil fremgå af parternes ”hovedaftale” eller af denne aftales bilag D.

7 Anvendelse af underdatabehandlere

Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (underdatabehandler).
Databehandleren må således ikke gøre brug af en anden databehandler (underdatabehandler) til opfyldelse af databehandleraftalen uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige.
I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.
Den dataansvarliges nærmere betingelser for databehandlerens brug af eventuelle underdatabehandlere fremgår af denne aftales Bilag B.
Den dataansvarliges eventuelle godkendelse af specifikke underdatabehandlere er anført i denne aftales Bilag B.
Når databehandleren har den dataansvarliges godkendelse til at gøre brug af en underdatabehandler, sørger databehandleren for at pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne databehandleraftale, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i databeskyttelsesforordningen.
Databehandleren er således ansvarlig for – igennem indgåelsen af en underdatabehandleraftale – at pålægge en eventuel underdatabehandler mindst de forpligtelser, som databehandleren selv er underlagt efter databeskyttelsesreglerne og denne databehandleraftale med tilhørende bilag.
Underdatabehandleraftalen og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom - i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at der er indgået en gyldig aftale mellem databehandleren og underdatabehandleren. Eventuelle kommercielle vilkår, eksempelvis priser, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.
Databehandleren skal i sin aftale med underdatabehandleren indføje den dataansvarlige som begunstiget tredjemand i tilfælde af databehandlerens konkurs, således at den dataansvarlige kan indtræde i databehandlerens rettigheder og gøre dem gældende over for underdatabehandleren, f.eks. så den dataansvarlige kan instruere underdatabehandleren om at foretage sletning eller tilbagelevering af oplysninger.
Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

8 Overførsel af oplysninger til tredjelande eller internationale organisationer

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel (overladelse, videregivelse samt intern anvendelse) af personoplysninger til tredjelande eller internationale organisationer, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.
Uden den dataansvarliges instruks eller godkendelse kan databehandleren – indenfor rammerne af databehandleraftalen - derfor bl.a. ikke;
a. videregive personoplysningerne til en dataansvarlig i et tredjeland eller i en international organisation,
b. overlade behandlingen af personoplysninger til en underdatabehandler i et tredjeland,
c. lade oplysningerne behandle i en anden af databehandlerens afdelinger, som er placeret i et tredjeland.
Den dataansvarliges eventuelle instruks eller godkendelse af, at der foretages overførsel af personoplysninger til et tredjeland, vil fremgå af denne aftales Bilag C.

9 Bistand til den dataansvarlige

Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel 3.
Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:
a. oplysningspligten ved indsamling af personoplysninger hos den registrerede
b. oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
c. den registreredes indsigtsret
d. retten til berigtigelse
e. retten til sletning (»retten til at blive glemt«)
f. retten til begrænsning af behandling
g. underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
h. retten til dataportabilitet
i. retten til indsigelse
j. retten til at gøre indsigelse mod resultatet af automatiske individuelle afgørelser, herunder profilering
Databehandleren bistår den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser i medfør af databeskyttelsesforordningens artikel 32-36 under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, jf. art 28, stk. 3, litra f.
Dette indebærer, at databehandleren under hensynstagen til behandlingens karakter skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:
a. forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen
b. forpligtelsen til at anmelde brud på persondatasikkerheden til tilsynsmyndigheden (Datatilsynet) uden unødig forsinkelse og om muligt senest 72 timer, efter at den dataansvarlige er blevet bekendt med bruddet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder.
c. forpligtelsen til – uden unødig forsinkelse – at underrette den/de registrerede om brud på persondatasikkerheden, når et sådant brud sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder
d. forpligtelsen til at gennemføre en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder
e. forpligtelsen til at høre tilsynsmyndigheden (Datatilsynet) inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen
Parternes eventuelle regulering/aftale om vederlæggelse eller lignende i forbindelse med databehandlerens bistand til den dataansvarlige vil fremgå af parternes ”hovedaftale” eller af denne aftales bilag D.

10 Underretning om brud på persondatasikkerheden

Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos databehandleren eller en eventuel underdatabehandler.

Databehandlerens underretning til den dataansvarlige skal om muligt ske senest antal timer efter at denne er blevet bekendt med bruddet, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden indenfor 72 timer.
‍
I overensstemmelse med denne aftales afsnit 10.2., litra b, skal databehandleren - under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for denne – bistå den dataansvarlige med at foretage anmeldelse af bruddet til tilsynsmyndigheden.

Det kan betyde, at databehandleren bl.a. skal hjælpe med at tilvejebringe nedenstående oplysninger, som efter databeskyttelsesforordningens artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse til tilsynsmyndigheden:

a. Karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger

b. Sandsynlige konsekvenser af bruddet på persondatasikkerheden

c. Foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden, herunder hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger

‍

11 Sletning og tilbagelevering af oplysninger

Ved ophør af tjenesterne vedrørende behandling forpligtes databehandleren til, efter den dataansvarliges valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

12 Tilsyn og revision

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise databehandlerens overholdelse af databeskyttelsesforordningens artikel 28 og denne aftale, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
Den nærmere procedure for den dataansvarliges tilsyn med databehandleren fremgår af denne aftales Bilag C.
Den dataansvarliges tilsyn med eventuelle underdatabehandlere sker som udgangspunkt gennem databehandleren. Den nærmere procedure herfor fremgår af denne aftales Bilag C.
Databehandleren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lovgivning har adgang til den dataansvarliges og databehandlerens faciliteter, eller repræsentanter, der optræder på myndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

13 Parternes aftaler om andre forhold

En eventuel (særlig) regulering af konsekvenserne af parternes misligholdelse af databehandleraftalen vil fremgår af parternes ”hovedaftale” eller af denne aftales Bilag D.
En eventuel regulering af andre forhold mellem parterne vil fremgå af parternes ”hovedaftale” eller af denne aftales Bilag D.

14 Ikrafttræden og ophør

Denne aftale træder i kraft ved begge parters underskrift heraf.
Aftalen kan af begge parter kræves genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i aftalen giver anledning hertil.
Parternes eventuelle regulering/aftale om vederlæggelse, betingelser eller lignende i forbindelse med ændringer af denne aftale vil fremgå af parternes ”hovedaftale” eller af denne aftales bilag D.
Opsigelse af databehandleraftalen kan ske i henhold til de opsigelsesvilkår, inkl. opsigelsesvarsel, som fremgår af ”hovedaftalen”.
Aftalen er gældende, så længe behandlingen består. Uanset ”hovedaftalens” og/eller databehandleraftalens opsigelse, vil databehandleraftalen forblive i kraft frem til behandlingens ophør og oplysningernes sletning hos databehandleren og eventuelle underdatabehandlere.

‍

Ansvarsfraskrivelse: Skabelonen udgør ikke nogen form for juridisk rådgivning, og Brugeren opfordres til enhver tid at anmode om specifik ekstern juridisk rådgivning i forbindelse med udførelsen af juridiske dokumenter.

Gør dem dynamiske

Tæm dit kaos med et centralt sted til at opbevare og håndtere kontrakter, så du kan analysere, beslutte og handle hurtigere.

Prøv det nu

Databehandleraftale er en af de nye typer dokumenter, som enhver virksomhed skal have på plads. Et af de væsenligste elementer ved Den Europæiske Unions databeskyttelsesforordning (GDPR) er de mange dokumentationskrav. Man må i det store og hele gerne behandle persondata som før, men man skal kunne dokumentere, at man behandler personlige oplysninger korrekt og opbevarer dem sikkert. Samtidig skal man kunne vise, at behandlingen har et formål, og at man enten har samtykke, kontraktuelle forpligtelser eller lovhjemmel til at behandle oplysningerne.

Blandt de nye dokumenter man skal have på plads, er fortegnelser over behandlingsaktiviteter, en ledelsesbeslutning og desuden også en databehandleraftale, såfremt man benytter sig af databehandlere. Det kan du læse mere om i denne artikel. I videoen nedenfor gennemgår GDPR-ekspert Bjørn L. Erichsen, hvordan man udvikler en databehandleraftale ud fra Datatilsynets og Contractbooks skabelon.

Hvad er en databehandleraftale?

En databehandleraftale regulerer forholdet mellem dataansvarlige og databehandlere. Forordningen definerer den dataansvarlige som den, der bestemmer formålet med at indsamle de personlige oplysninger og hvilke hjælpemidler, de må bruge for at udføre deres opgave. Databehandleren kun opbevarer og behandler kun data på instruks fra den ansvarlige. Denne instruks kan i praksis godt være formuleret af databehandleren. Det er i virkeligheden meget typisk, da det er databehandleren, som har indsigt i, hvad der skal til for at udføre opgaven.

Vi kan tage et eksempel for lige at få plads, hvem der respektivt er dataansvarlig og databehandler. Den dataansvarlige kunne være en virksomhed, der indsamler data på sine ansatte og forbindelse med at udforme en ansættelseskontrakt. Typisk vil man som arbejdsgiver dele denne information med en række andre parter. Det kan være revisoren, som udbetaler løn (herunder måske et lønsystem, der administrerer lønnen), ens advokat der ordner ansættelsesretlige spørgsmål og en platform som Contractbook, som opbevarer juridiske dokumenter på instruks fra virksomheden. Der er det påkrævet, at arbejdsgiveren sikrer, at de ansattes rettigheder forbliver intakte, når deres personlige oplysninger deles med andre parter. Et trejde godt eksempel er RISMA Systems til GRC, som hjælper virksomheder med at blive compliant.

En databehandleraftale skal derudover sikre, at alle oplysningerne behandles i overensstemmelse med loven. De må hverken fortabes, forringes eller misbruges. Man skal altså sikre, at ens databehandlere overholder god dataskik ved at efterleve diverse pligter og beskytte rettigheder, som alle er beskrevet i selve forordningen og diverse bestemmelser fra Datatilsynet.

Det er ikke sikkert, at man nødvendigvis har brug for at have databehandleraftaler på plads. Men da langt de fleste benytter sig af denne slags services, bliver det en mere og mere normal type kontrakt. Mange bruger eksempelvis lønsystemer eller systemer til at tælle de ansattes timer. Man skal holde sig for øje, at nogle systemer definerer selvstændige formål med databehandlingen, hvorfor de selv er ansvarlige. Skat eller pensionskasser er eksempelvis selv dataansvarlige, fordi de selv bestemmer formålet med at opbevare data - også selvom din virksomhed deler det med dem. Det er altså vigtigt at afgøre, om der er tale om en dataansvarlig eller en databehandler, når man benytter sig af en ny leverandør eller service.

Hvad indeholder en databehandleraftale?

Der er en række minimumskrav til, hvad en databehandleraftale skal indeholde. De er beskrevet i forordningens Artikel 28 og fremgår af Datatilsynets standardskabeloner. Skabelonen kan du finde på dette link. Her er alle de afsnit, der er skrevet i fed obligatoriske i en databehandleraftale. Man må altså ikke rette i dem, hvis man ønsker at have en gyldig aftale på plads.

Det skal først og fremmest fremgå, at databehandleren udelukkende handler på instruks fra den dataansvarlige med mindre andet kræves i henhold til EU-ret og dansk ret. Det kunne eksempelvis være, hvis den danske bogføringslov kræver, at man opbevarer økonomiske data i et vist tidsrum.

Det skal fremgå, at databehandleren indestår for, at kun autoriserede personer behandler oplysningerne, og at de er underlagt en tavshedspligt, eventuelt med en fortrolighedsaftale eller en Standard Modal Clause. Derefter skal man i en databehandleraftale beskrive hvilke typer data, som databehandleren opbevarer, og hvad den primære behandling består i. Behandler man sensitive data som biometrisk data eller sundhedsoplysninger, skal det eksempelvis fremgå.

Samtidig skal man altså kunne beskrive, hvilke opgaver man konkret beder databehandleren om at foretage. Hvis ikke en handling fremgår af databehandleraftalen, må den altså ikke foretages.

Hvis databehandleren bruger underdatabehandlere, skal det ligeledes fremgå, da databehandleren ikke kan dele personlige oplysninger uden den dataansvarliges godkendelse eller instruks. Igen må databehandleraftalen altså ikke benytte sig af underdatabehandlere, hvis ikke det er aftalt på forhånd.

Her skal det i øvrigt fremgå, hvis personlige oplysninger behandles i såkaldt tredjelande, altså lande der ikke er en del af EU. Gør de ikke det, skal man typisk have en anden hjemmel. Det kan være en Standard Model Clause eller en særaftale mellem tredjelandet og EU. Det kan være den aftale, som EU har lavet med amerikanske virksomheder, der har underlagt sig et Privacy Shield.

Andet indhold i en databehandleraftale

En databehandleraftale er typisk et langt dokument, men der er stor forskel på detaljegraden og fleksibiliteten af den slags dokumenter. Det er påkrævet, at kontrakten indeholder beskrivelser af, hvad databehandleren har tænkt sig at gøre i forbindelse på brud og datalæk. Der er dog stor forskel på detaljegraden af den slags procedurebeskrivelser.

Derudover skal man beskrive sine sikkerhedsforanstaltninger - eksempelvis krav til kryptering af data eller tjek af servere. Man skal også beskrive, om man har regler for revision og tilsyn med databehandlere. Nogle firmaer vil kræve, at man overholder diverse ISO-standarder eller får andre typer revisionserklæringer på ens compliance.

Slutteligt skal man beskrive tilsyn med underdatabehandlere, ens opbevaringsrune og sletterutine (for at sikre minimalt data) og sikring for diverse rettigheder. Det er eksempelvis retten til at blive glemt eller retten til indsigt. Det kræver naturligvis, at man har godt styr på, hvor og hvordan dataet er opbevaret.

I forbindelse med Databehandleraftaler foreligger der således en del informationer, man som dataansvarlig skal have styr på. Og hvis man har aftaler med mange databehandlere, kan man hurtigt miste overblikket. Dette nødvendiggør et arkiv a la RISMA Systems GRC-platform, hvor man på struktureret og digitaliseret måde kan lave en liste over virksomhedens informationsaktiver. På den måde bevarer du hele tiden overblikket og kan bedre sikre compliance med persondataforordningen, da du har alt dokumentation samlet et sted.

Aftale om delt dataansvar

Hvis to virksomheder eller offentlige myndigheder begge har et delt dataansvar, man skal bruge en gennemsigtig og skriftlig aftale til at regulere forholdet. Sådan en aftale skal sikre, at registreredes personoplysninger behandles i overensstemmelse med loven.

Aftalen rummer mange af de samme elementer som en databehandleraftale. Her skal man eksempelvis også beskrive sletteregler, behandlingshjemmel, eventuelle underdatabehandlere, oplysninger om behandling i tredjelande og sikkerhedsforanstaltninger. Man skal dog også beskrive overordnet ansvarsfordeling og dele fortegnelser med hinanden.

Populære skabeloner

International manufacturing contract

Skabelon

International manufacturing contract

Use our free template for international contracts between manufacturers and clients. It ensures clear terms and smooth collaboration for all partnerships.

Lær mere